LDA模型下的APT通信日志特征研究.pdf

1、隨著信息交互的速度越來越快，社會信息化程度不斷的提升，傳統(tǒng)的網(wǎng)絡(luò)安全技術(shù)已經(jīng)無法滿足這個時代的需求。尤其對于APT攻擊檢測技術(shù)，至今也沒有一個完善的檢測方法。如何才能使網(wǎng)絡(luò)能夠更好地抵御攻擊，保證信息安全，是網(wǎng)絡(luò)安全專家們最為關(guān)注的問題。
　　高級持續(xù)性威脅APT（Advanced Persist Threat）是現(xiàn)在黑客攻擊的一種新型手段，大多應(yīng)用在大型組織、重要能源部門或者政府機構(gòu)。因此，這種行為給網(wǎng)絡(luò)信息安全帶來了特別大危害

2、?，F(xiàn)有的國防科研手段落后，目前的研究大多集中于使用一個特定的漏洞和防范，對現(xiàn)有的防御系統(tǒng)缺乏更全面的研究存在不足之處，而現(xiàn)有的APT防御手段也存在很多問題。課題以網(wǎng)絡(luò)信息安全、網(wǎng)絡(luò)攻擊、網(wǎng)絡(luò)攻擊的防御策略的技術(shù)理論作為指導(dǎo)，深入分析APT通信的特點，找尋其通信規(guī)律，進而發(fā)現(xiàn)通過利用大規(guī)模數(shù)據(jù)的優(yōu)勢可以構(gòu)造一個全面的、高效的檢測模型，從而彌補傳統(tǒng)方法和模型在面對APT攻擊異常檢測上的不足。同時，將大數(shù)據(jù)與APT攻擊檢測聯(lián)系起來也是一次新的

3、嘗試，為以后的研究提供了新的思路。
　　本文采用的APT攻擊檢測方法通過互聯(lián)網(wǎng)、行業(yè)內(nèi)的最新進展等相關(guān)途徑獲得的最新APT通信信息的文獻和資料，分析出APT通信日志的出十四種異常特征。在小型局域網(wǎng)實驗室中，通過收集網(wǎng)絡(luò)端與主機端的通信日志文件，利用DBSCAN聚類算法將收集的日志文件進行壓縮處理。對網(wǎng)絡(luò)地址與主機對應(yīng)上提出建立IP地址數(shù)據(jù)庫解決了日志與主機映射的難點。在對日志與異常檢測結(jié)合上，引進LDA文本挖掘模型構(gòu)建新的APT通